CEO, CIO, CDO oder CAIO: Entscheidungsrechte statt Organigramm

Kurzantwort

Wer die KI-Transformation steuert, entscheidet sich an vier Rechten, nicht am Titel: Ziel- und Risikorahmen, Budget- und Beschaffungsfreigabe, Architektur- und Datenhoheit sowie das Stopprecht. Der CEO behält Rahmen und Abbruch. Der CIO führt typischerweise Systeme und Integration. CDO oder CAIO steuern nur dann wirklich, wenn sie Budget- und Portfoliomandat besitzen. Jede dieser Zuweisungen gehört schriftlich in eine Rechte-Matrix mit Eskalationsfristen. Fehlt sie, entscheiden Zufall, Lautstärke und Dienstalter.

Die Kernaussagen

• Titel sind Signale nach außen, Rechte sind Steuerung nach innen. Verwechslung kostet Zeit und im Zweifel Marktposition.
• Die CAIO-Verbreitung hängt an der Definition: 25 Prozent in Deutschland (IBM 2025), 60 Prozent in US-Großunternehmen (Wharton 2025) — dort oft als bloßes Zusatzmandat.
• Im Schnitt teilen sich zwei Führungskräfte die KI-Governance (McKinsey 2025). Ohne Konfliktregel mit Frist wird jede Doppelspitze zum Engpass.
• Der EU AI Act haftet Funktionen an, nicht Visitenkarten: Betreiberpflichten treffen das Unternehmen, egal wie die interne Rolle heißt.
• Eine Matrix mit sechs Entscheidungen, getestet an zwei echten Konflikten, ist wirksamer als jede neue C-Position.

Warum die Frage jetzt zählt

Der Markt sortiert die Rolle gerade neu. Laut IBM Institute for Business Value hatten Anfang 2025 weltweit 26 Prozent der Organisationen einen Chief AI Officer, in Deutschland 25 Prozent. Der Wharton-Report zur KI-Adoption zählte 2025 in US-Großunternehmen ab 1.000 Beschäftigten sogar 60 Prozent. Die Differenz erklärt die Studie selbst: Häufig ist der CAIO eine zusätzliche Zuständigkeit eines vorhandenen Executives, keine eigene Position. Gartner hatte im Oktober 2024 prognostiziert, dass bis Ende 2025 rund 35 Prozent der Großunternehmen eine solche Rolle führen.

Für den Mittelstand ist die Zahlendebatte zweitrangig. Relevant ist der Befund dahinter: Die Rolle wird massenhaft vergeben, aber selten mit Rechten hinterlegt. Gleichzeitig verschärft der Rechtsrahmen die Lage. Die Verordnung (EU) 2024/1689 verteilt Pflichten an Anbieter und Betreiber, seit August 2026 greifen die Betreiberpflichten für Hochrisiko-Systeme vollständig. Eine Aufsichtsbehörde fragt dann nicht, wie die interne Rolle heißt. Sie fragt, wer freigegeben, überwacht und gestoppt hat.

Wer jetzt Titel vergibt, ohne Rechte zu klären, baut sich für 2027 ein doppeltes Problem: eine blockierte Organisation und eine ungeklärte Nachweislage.

Was die Titeldebatte verdeckt

Hinter den vier Buchstabenkombinationen stehen vier verschiedene Logiken. Der CEO verantwortet das Geschäft und damit den Rahmen: Ziele, Risikotoleranz, Kapitalallokation. Der CIO verantwortet Systeme: Architektur, Integration, Betrieb, Sicherheit. Der CDO verantwortet Daten: Qualität, Zugriff, Modelle der Datennutzung. Der CAIO soll Wertschöpfung aus KI verantworten, quer zu allen dreien. Genau diese Querlage macht die Rolle so anfällig für Leerlauf.

Die McKinsey-Erhebung vom März 2025 zeigt das Muster: In 28 Prozent der KI-nutzenden Unternehmen beaufsichtigt der CEO die KI-Governance, in 17 Prozent das Board, und im Durchschnitt teilen sich zwei Führungskräfte die Verantwortung. Geteilte Verantwortung ist kein Fehler. Ungeregelte geteilte Verantwortung ist einer.

Aufschlussreich ist auch der IBM-Befund zur Berichtslinie: Mehr als die Hälfte der befragten CAIOs berichtet direkt an CEO oder Board. Wo das fehlt, hängt die Rolle unterhalb des CIO und verhandelt Budgets, die andere freigeben. Sie wird dann zum Übersetzer fremder Entscheidungen.

Ein CAIO ohne Budget und Stopprecht ist eine Pressemitteilung, keine Führungsrolle.

Die redaktionelle Folgerung: Erst die Rechte schneiden, dann über Titel reden. Wer die Reihenfolge umdreht, bekommt Symbolpolitik mit Gehaltsband.

Die Matrix: sechs Entscheidungen, die geregelt sein müssen

Sechs Entscheidungstypen erzeugen in der Praxis fast alle Konflikte. Für jeden gehört festgelegt: Wer entscheidet, wer wird angehört, was gilt bei Streit, in welcher Frist.

Entscheidung	Entscheidet	Wird angehört	Eskalation bei Streit
Ziele, Risikotoleranz, Portfolio-Kapazität	Geschäftsführung	CIO, Fachleitungen	Beirat oder Gesellschafter
Budget oberhalb der Schwelle	Geschäftsführung	CIO, KI-Leitung	Beirat
Budget unterhalb der Schwelle, Tool-Beschaffung	KI-Leitung mit Einkauf	Fachbereich, CIO	GF binnen zehn Arbeitstagen
Architektur, Integration, Security-Baseline	CIO	KI-Leitung, Informationssicherheit	GF binnen zehn Arbeitstagen
Datenfreigabe für Training und Betrieb	CDO, sonst Datenschutz plus Fachbereich	KI-Leitung	GF binnen zehn Arbeitstagen
Produktivsetzung eines Systems	KI-Leitung	Fachleitung, Datenschutz, Betriebsrat	GF binnen fünf Arbeitstagen
Stopp eines produktiven Systems	KI-Leitung sofort wirksam	Fachleitung	GF bestätigt binnen 48 Stunden
Vendor-Auswahl und Vertragsverlängerung	Einkauf mit CIO-Freigabe	KI-Leitung, Datenschutz	GF binnen zehn Arbeitstagen

Drei Details entscheiden über die Wirksamkeit. Erstens die Fristen: Ein Anhörungsrecht ohne Frist ist ein Vetorecht. Zweitens das Stopprecht: Es muss sofort wirksam sein und darf nicht an einer Gremiensitzung hängen. Die nachträgliche Bestätigung durch die Geschäftsführung schützt vor Missbrauch. Drittens die Beschaffungsgrenze: Ohne die Regel, dass KI-Verträge ohne Review ungültig sind, wächst neben der Matrix ein Schattenportfolio.

Bewusst fehlt in der Matrix ein KI-Gremium als Entscheider. Gremien hören an, bündeln und bereiten vor. Entscheiden müssen benannte Personen. Sobald ein Ausschuss formal entscheidet, ist im Vorfall niemand verantwortlich gewesen.

Zwei Besonderheiten des Mittelstands verdienen eigene Zeilen in der Matrix. Erstens die Gesellschafterebene: In Familienunternehmen entscheidet bei Grundsatzfragen oft der Beirat oder der Gesellschafterkreis mit. Diese Schwelle gehört ausdrücklich benannt, etwa ab einem Investitionsvolumen oder bei Eingriffen ins Geschäftsmodell. Sonst wird jede größere KI-Entscheidung informell auf der Familienebene nachverhandelt. Zweitens die Mitbestimmung: Der Betriebsrat ist bei Systemen mit Bezug zu Verhalten oder Leistung der Beschäftigten früh einzubinden. Artikel 26 Absatz 7 der KI-Verordnung verlangt bei Hochrisiko-Systemen ohnehin die Information der Beschäftigtenvertretung vor der Inbetriebnahme. Wer diese Anhörung als Frist in die Matrix schreibt, verwandelt einen gefürchteten Blocker in einen planbaren Schritt.

Drei Konfliktfälle als Belastungstest

Ob die Matrix trägt, zeigt sich in Konflikten, nicht in Workshops. Drei Fälle decken die typischen Bruchstellen ab.

Fall eins: Die Vertriebsleitung will ein KI-Tool für Angebotstexte beschaffen, Jahreskosten unterhalb jeder Investitionsschwelle. Ohne Matrix läuft der Vertrag über eine Firmenkreditkarte, mit Kundendaten in einem Dienst außerhalb der EU. Mit Matrix greift die Beschaffungsregel: Der Vertrag ist ohne Review der KI-Leitung ungültig, das Review dauert maximal zehn Arbeitstage. Der Fachbereich verliert zwei Wochen und gewinnt einen Datenverarbeitungsvertrag.

Fall zwei: Ein Pilot zur Rechnungsprüfung verfehlt die vereinbarte Genauigkeitsschwelle im zweiten Monat. Die Projektleitung will verlängern, die Fachleitung auch, es ist schließlich ihr Vorhaben. Mit Matrix liegt die Entscheidung bei der KI-Leitung, gegen deren Votum nur die Geschäftsführung verlängern kann. Der Pilot stirbt oder bekommt einen dokumentierten GF-Beschluss mit neuer Frist. Beides ist Steuerung.

Fall drei: Der Datenschutzbeauftragte meldet Bedenken gegen ein produktives System im Personalbereich. Ohne Regel entsteht ein monatelanges Patt zwischen Rechtsmeinung und Betriebsinteresse. Mit Matrix stoppt die KI-Leitung sofort oder legt den Fall binnen fünf Arbeitstagen der Geschäftsführung vor. Die Abwägung wird protokolliert. Genau dieses Protokoll ist später der Nachweis geordneter Aufsicht.

Entscheidungsrechte, die noch nie gegen einen Fachbereich durchgesetzt wurden, existieren nur auf dem Papier. Der erste verlorene Machtkampf ist der eigentliche Go-live der Governance.

Wann sich eine dedizierte KI-Führungsrolle rechnet

Für die dedizierte Rolle spricht Evidenz, aber sie ist bedingt. IBM misst bei Unternehmen mit CAIO rund zehn Prozent höheren Return on Investment auf KI-Ausgaben; mit zentralem oder Hub-and-Spoke-Betriebsmodell steigt der gemessene Vorsprung deutlich. Das sind Korrelationen aus einer Befragung von über 600 Verantwortlichen, kein Kausalbeweis. Reife Organisationen leisten sich eher beides: die Rolle und die Disziplin.

Drei Kriterien taugen als Schwelle für den Mittelstand. Erstens Portfoliogröße: mehrere produktive Systeme in verschiedenen Bereichen, die um Kapazität konkurrieren. Zweitens Risikoprofil: mindestens ein Vorhaben, das als Hochrisiko-System unter Anhang III der KI-Verordnung fallen könnte. Drittens Geschäftsmodellnähe: KI verändert Produkte oder Preislogik, nicht nur interne Abläufe. Treffen zwei der drei Kriterien zu, lohnt die dedizierte Rolle mit direkter Berichtslinie zur Geschäftsführung.

Darunter ist das Zusatzmandat die ehrlichere Lösung: CIO oder eine erfahrene Bereichsleitung übernimmt die KI-Leitung mit ausgewiesenem Zeitbudget, die Matrix regelt die Rechte. Wichtig ist die Kapazitätswahrheit. Ein Mandat ohne freigeräumte Zeit ist eine Verschiebung des Problems in den Kalender einer ohnehin ausgelasteten Führungskraft.

Und die Gegenposition? Manche Häuser berufen bewusst keinen Verantwortlichen und setzen auf verteilte Initiative der Fachbereiche. Das funktioniert in der Experimentierphase und scheitert regelmäßig am Übergang in den Betrieb: Niemand führt Inventar, niemand vergleicht Verträge, niemand stoppt. Verteilte Initiative ist ein Startmodell, kein Betriebsmodell.

Maßnahmen für die Geschäftsführung

Bis Tag 30

• Rechte-Matrix mit den sechs Kernentscheidungen auf einer Seite entwerfen lassen. Owner: CIO gemeinsam mit KI-Leitung.
• Beschaffungsregel in Kraft setzen: keine KI-Verträge ohne Review, unabhängig vom Betrag. Owner: Einkaufsleitung.
• Berichtslinie klären: Wer immer KI führt, berichtet zum Thema direkt an die Geschäftsführung. Owner: Geschäftsführung.
• Bestehende Doppelzuständigkeiten offen benennen, statt sie zu moderieren. Owner: Geschäftsführung.

Bis Tag 60

• Matrix an zwei realen Konfliktfällen testen und die Fristen nachschärfen. Owner: KI-Leitung.
• Stopprecht formal beschließen: sofort wirksam, GF-Bestätigung binnen 48 Stunden, Protokollpflicht. Owner: Geschäftsführung.
• Datenfreigabe-Prozess mit Datenschutz und CDO-Funktion schriftlich fixieren. Owner: CDO oder Datenschutzkoordination.
• Fachbereichen die Matrix vorstellen, inklusive der Konsequenz ungültiger Schattenverträge. Owner: KI-Leitung.

Bis Tag 90

• Entscheidung über den Rollenzuschnitt treffen: Zusatzmandat mit Zeitbudget oder dedizierte Rolle nach den drei Kriterien. Owner: Geschäftsführung.
• Matrix versionieren und Review-Anlass festlegen: jährlich sowie bei jedem Wechsel auf C-Ebene. Owner: Geschäftsführung.
• Erste Wirksamkeitsprüfung: Wie viele Entscheidungen liefen durch die Matrix, wie viele daran vorbei? Owner: KI-Leitung.

Was Führung jetzt entscheiden muss

Häufige Fragen (FAQ)

Brauchen wir einen Chief AI Officer oder reicht der CIO?

Für die meisten Mittelständler reicht der CIO mit einem schriftlichen KI-Mandat. Ein eigener CAIO lohnt erst, wenn das Portfolio mehrere produktive Systeme umfasst, Hochrisiko-Anwendungen dazukommen oder KI das Geschäftsmodell selbst verändert. Weltweit haben laut IBM 2025 rund 26 Prozent der Unternehmen einen CAIO, in Deutschland 25 Prozent. Aussagekräftiger als die Quote ist der Zuschnitt: Mehr als die Hälfte der befragten CAIOs berichtet direkt an CEO oder Board. Ein CAIO ohne Budget, Team und Stopprecht verbessert nichts. Er verdoppelt nur die Zahl der Meetings.

Was kostet eine dedizierte KI-Führungsrolle im Vergleich zum Zusatzmandat?

Eine dedizierte C-Rolle kostet eine volle Führungsvergütung, Suchkosten und meist ein kleines Team, das Zusatzmandat kostet Kapazität einer vorhandenen Führungskraft. Belastbare Gehaltsbenchmarks für den DACH-Mittelstand fehlen; öffentliche Zahlen stammen fast immer aus US-Konzernen. Entscheidend ist die Gegenrechnung: IBM misst bei Unternehmen mit CAIO rund zehn Prozent höheren Return on Investment auf KI-Ausgaben, eine Korrelation, kein Kausalbeweis. Für viele Häuser ist das Zusatzmandat mit klarer Rechte-Matrix der wirtschaftlichere Einstieg. Es muss aber mit Zeitbudget hinterlegt sein, sonst ist es nur ein zweiter Titel.

Wer haftet, wenn ein KI-System einen Schaden verursacht?

Zunächst haftet das Unternehmen, nicht die Person mit dem KI-Titel. Die Verordnung (EU) 2024/1689 knüpft Pflichten an Rollen wie Anbieter und Betreiber; Verstöße kosten nach Artikel 99 bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes. Daneben steht die allgemeine Organisationsverantwortung der Geschäftsleitung: Sie muss nachweisen können, dass Zuständigkeiten, Aufsicht und Kontrollen geregelt waren. Interne Titel entlasten dabei nicht. Eine dokumentierte Rechte-Matrix mit Freigaben und Protokollen ist im Schadensfall das wichtigste Verteidigungsmittel der Führung.

Wie führen wir eine Entscheidungsrechte-Matrix ein, ohne die Organisation zu lähmen?

Klein anfangen: eine Seite, sechs Entscheidungen, drei Wochen. Die Matrix regelt zunächst nur Budgetfreigabe, Architektur, Datenfreigabe, Produktivsetzung, Stopp und Vendor-Auswahl, jeweils mit Entscheider, Anzuhörenden und Eskalationsfrist. Dann wird sie an zwei realen Fällen getestet, etwa einer strittigen Tool-Beschaffung und einem Pilot an der Qualitätsschwelle. Erst nach diesem Test wird sie versioniert und kommuniziert. Was sich nicht in zwei echten Konflikten bewährt hat, gehört nicht in die Fläche. Ein Gremium braucht es dafür nicht, nur einen GF-Beschluss.

Was tun, wenn CIO und CDO sich gegenseitig blockieren?

Eine Konfliktregel mit Frist einziehen und den Streit zur Sachentscheidung der Geschäftsführung machen. Bewährt hat sich eine feste Eskalation: Wenn Daten- und Integrationsfragen ein Vorhaben länger als zehn Arbeitstage aufhalten, entscheidet die Geschäftsführung auf Basis einer gemeinsamen Einseiter-Vorlage beider Seiten. Laut McKinsey 2025 teilen sich im Schnitt zwei Führungskräfte die KI-Governance; das Patt ist also der Normalfall, nicht die Ausnahme. Blockieren sich beide Rollen dauerhaft, sind die Mandate falsch geschnitten. Dann muss die Matrix geändert werden, nicht die Personen.

Evidenz und Grenzen

• Belegt: die CAIO-Verbreitungszahlen (IBM Institute for Business Value 2025, Wharton 2025, Gartner-Prognose 2024), die Governance-Befunde der McKinsey-Erhebung 2025 sowie Rollenlogik und Bußgeldrahmen der Verordnung (EU) 2024/1689.
• Einschätzung der Redaktion: der Zuschnitt der Matrix, die Fristen von 48 Stunden bis zehn Arbeitstagen und die drei Schwellenkriterien für eine dedizierte Rolle. Sie beruhen auf redaktioneller Auswertung von Organisationspraxis, nicht auf einer eigenen Erhebung.
• Methodische Grenze: Die zitierten Studien definieren die CAIO-Rolle unterschiedlich; Quotenvergleiche zwischen ihnen sind nur eingeschränkt zulässig. ROI-Angaben sind Selbstauskünfte.
• Nicht geleistet: arbeitsrechtliche und gesellschaftsrechtliche Detailprüfung einzelner Mandatszuschnitte sowie Vergütungsberatung.

Quellen und Methodik

1. IBM Institute for Business Value mit Dubai Future Foundation: CAIO-Studie, Befragung von über 600 CAIO-Funktionen in 22 Ländern, Q1 2025; deutsche Zusammenfassung vom 15. Juli 2025. https://de.newsroom.ibm.com/2025-07-15-Chief-AI-Officer-Schlussel-zum-KI-Erfolg-Bis-zu-36-hoheren-ROI-bei-KI-Ausgaben,-so-eine-Studie-der-IBM-Dubai-Future-Foundation
2. Wharton School / GBK Collective: „AI Adoption Report 2025“, Befragung von 800 US-Unternehmen ab 1.000 Beschäftigten, 2025.
3. Gartner: Prognose zur Verbreitung der Chief-AI-Officer-Rolle in Großunternehmen, Oktober 2024.
4. McKinsey & Company: „The State of AI: How organizations are rewiring to capture value“, Global Survey, März 2025. https://www.mckinsey.com/capabilities/quantumblack/our-insights/the-state-of-ai-how-organizations-are-rewiring-to-capture-value
5. Europäische Union: Verordnung (EU) 2024/1689 (KI-Verordnung), Amtsblatt der EU vom 12. Juli 2024; insbesondere Artikel 3, 26 und 99. https://eur-lex.europa.eu/eli/reg/2024/1689/oj
6. ISO/IEC 42001:2023: Managementsysteme für Künstliche Intelligenz — Anforderungen an Rollen, Verantwortlichkeiten und Führung, Dezember 2023. https://www.iso.org/standard/42001

Methodik: Alle Zahlenangaben wurden im Juli 2026 per Web-Recherche gegen die genannten Quellen geprüft; abweichende Studiendefinitionen sind im Text ausgewiesen. Die Erstfassung entstand mit KI-Unterstützung; Recherche, Auswahl und Wertungen verantwortet die Redaktion. Nicht verifizierbare Zahlen wurden gestrichen und durch qualitative Aussagen ersetzt.

Änderungsprotokoll

Datum	Änderung
2026-07-23	Vollständige Neufassung: Web-Recherche, Rechte-Matrix, Konfliktfälle, FAQ, Maßnahmenblock (Status: draft)
2026-07-23	Erstfassung Launch-Korpus (Status: draft)

Das Entscheider-Briefing

Ein Briefing pro Woche: Entscheidungsfragen, eingeordnete Zahlen und Fristen. Ihre Adresse geben wir nicht weiter.

Website

E-Mail-Adresse

Briefing abonnieren

Ich möchte das Briefing per E-Mail erhalten und kann die Einwilligung jederzeit widerrufen. Die Datenschutzerklärung habe ich gelesen.

Sie erhalten zuerst eine E-Mail mit einem Bestätigungslink. Erst nach dem Klick nehmen wir Sie auf. Abmeldung mit einem Klick in jeder Ausgabe.